跳转至

超越授权指令：代理支付协议（AP2）的系统性安全分析

文章背景与核心概要

随着大语言模型（LLM）驱动的购物代理在电子商务领域的普及，确保其支付授权和执行的安全性成为了当前技术界的核心挑战。由谷歌推出的代理支付协议（Agent Payments Protocol，简称 AP2）旨在赋能这些AI代理，使其能够代表用户安全地授权和执行支付。然而，尽管其签名的结账指令（Checkout）和支付授权（Payment Mandates）成功保护了签名后的交易数据完整性，但在授权之前构成交易的关键交互路径和外部输入（如代理间协议（A2A）消息和模型上下文协议（MCP）工具调用）却缺乏足够的保护。

本文基于对 AP2 v0.1 中重放攻击和提示词注入漏洞的早期发现，对 AP2 v0.2 进行了全面的安全评估。作者深入分析了协议角色、交易生命周期、信任边界以及五种不同的部署架构。研究利用 MAESTRO 框架绘制了广泛的威胁模型，并使用 人工智能漏洞评分系统（AIVSS） 对漏洞进行了量化评分。最终，该论文证明了：当预授权上下文遭到破坏时，仅依赖有效的密码学授权签名并不足以保证用户的真实意图。

执行摘要

The Agent Payments Protocol (AP2), introduced by Google, is designed to empower large language model (LLM)-driven shopping agents to safely authorize and execute payments on behalf of users. While its signed Checkout and Payment Mandates successfully protect transaction data integrity after signing, critical interaction pathways and external inputs that form a transaction before authorization—such as Agent-to-Agent Protocol (A2A) messages and Model Context Protocol (MCP) tool calls—remain dangerously unprotected.

由谷歌推出的代理支付协议（AP2）旨在赋能大语言模型（LLM）驱动的购物代理，使其能够代表用户安全地授权和执行支付。尽管其签名的结账指令和支付授权成功保护了签名后的交易数据完整性，但在授权之前构成交易的关键交互路径和外部输入（例如代理间协议（A2A）消息和模型上下文协议（MCP）工具调用）依然处于危险的无保护状态。

Building upon earlier discoveries of replay and prompt-injection vulnerabilities in AP2 v0.1, this research provides a comprehensive security assessment of AP2 v0.2. The authors analyze protocol roles, transaction lifecycles, trust boundaries, and five distinct deployment architectures. Utilizing the MAESTRO framework, the study maps out an extensive threat model and scores vulnerabilities using the Artificial Intelligence Vulnerability Scoring System (AIVSS). Ultimately, the paper proves that valid cryptographic mandate signatures alone are insufficient to guarantee user intent when pre-authorization contexts are compromised.

在早期发现 AP2 v0.1 存在重放和提示词注入漏洞的基础上，本研究对 AP2 v0.2 进行了全面的安全评估。作者分析了协议角色、交易生命周期、信任边界以及五种不同的部署架构。通过利用 MAESTRO 框架，该研究绘制了一个广泛的威胁模型，并使用人工智能漏洞评分系统（AIVSS）对漏洞进行评分。最终，该论文证明：当预授权上下文被破坏时，仅凭有效的密码学授权签名仍不足以保证用户的真实意图。

核心发现与方法论

  • Comprehensive Threat Modeling (MAESTRO Framework):
  • 4 Threat Actors modeled.
  • 11 Attack Surfaces mapped.
  • 18 Adversary Capabilities and 6 Attacker Goals categorized.
  • 48 Total Threats identified across 5 Attack Families.
  • 全面的威胁建模（MAESTRO 框架）：
  • 建模了 4 类威胁参与者。
  • 映射了 11 个攻击面。
  • 对 18 种攻击者能力和 6 个攻击者目标进行了分类。
  • 在 5 个攻击大类中识别出总计 48 个威胁。
  • Vulnerability Scoring (AIVSS): Scored all 48 threats, identifying 8 High-risk threats present in at least one deployment architecture.
  • 漏洞评分（AIVSS）： 对所有 48 个威胁进行了评分，在至少一种部署架构中识别出了 8 个高风险威胁。
  • Empirical Testbed & Proof-of-Concept: In the absence of a complete public implementation, the researchers constructed a custom testbed covering all 5 deployment architectures and developed 5 PoC demonstrations targeting the 8 High-risk vulnerabilities alongside their corresponding mitigations.
  • 实证测试台与概念验证（PoC）： 在缺乏完整公开实现的情况下，研究人员构建了一个涵盖全部 5 种部署架构的自定义测试台，并开发了 5 个针对这 8 个高风险漏洞及其相应缓解措施的 PoC 演示。
  • Deployment-Aware Scanner: Created an automated scanner designed to map applicable threats to static code analysis, cross-role consistency checks, and adversarial test conditions.
  • 部署感知扫描器： 开发了一种自动化扫描器，旨在将适用的威胁映射到静态代码分析、跨角色一致性检查以及对抗性测试条件中。